BDU:2016-00811 (CVE-2016-0751) — уязвимость программной платформы Ruby on Rails

По данным БДУ ФСТЭК России, по состоянию на 23.03.2021.

Уязвимость функции actionpack/lib/action_dispatch/http/mime_type.rb компонента Action Pack программной платформы Ruby on Rails связана с отсутствием ограничений на использование MIME-кэша. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании (расходование памяти) при помощи специально созданного HTTP-заголовка

Кого касается и что делать

• Уязвимое ПО: Ruby on Rails (Rails Core Team) — версии от 4.0 до 4.1.14.1, от 4.2 до 4.2.5.1, от 5.0 до 5.0.0beta1.1, до 3.2.22 включительно
• Что делать: уязвимость устранена производителем — применить исправления (см. меры ниже)

Сведения об уязвимости

Уязвимое ПО

• Ruby on Rails (Rails Core Team) — версии от 4.0 до 4.1.14.1, от 4.2 до 4.2.5.1, от 5.0 до 5.0.0beta1.1, до 3.2.22 включительно · прикладное ПО информационных систем

ОС и платформы

• Linux (Сообщество свободного программного обеспечения) — 64-bit
• macOS (Apple) — 10 · 32-bit
• Windows (Microsoft) — 64-bit
• Solaris (Oracle) — 64-bit

Возможные меры по устранению уязвимости

Обновление. Обновление программного средства до версии 5.0.0.beta1.1, 4.2.5.1, 4.1.14.1, 3.2.22.1 или новее

Источники

• groups.google.com/forum/message/raw
• www.openwall.com/lists/oss-security/2016/01/25/9